Bulletin d'alerte Debian

DLA-1654-1 libav -- Mise à jour de sécurité pour LTS

Date du rapport :
6 février 2019
Paquets concernés :
libav
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2014-8542, CVE-2015-1207, CVE-2017-7863, CVE-2017-7865, CVE-2017-14169, CVE-2017-14223.
Plus de précisions :

Plusieurs problèmes de sécurité ont été corrigés dans plusieurs démultiplexeurs et décodeurs dans la bibliothèque multimedia libav.

  • CVE-2014-8542

    libavcodec/utils.c omettait un certain ID de codec lors de l’application de l’alignement. Cela permettait à des attaquants distants de provoquer un déni de service (accès hors limites) ou éventuellement avait un impact non précisé à l’aide de données JV contrefaites.

  • CVE-2015-1207

    Une vulnérabilité de double libération dans libavformat/mov.c permettait à des attaquants distants de provoquer un déni de service (corruption de mémoire et plantage) à l'aide d'un fichier .m4a contrefait.

  • CVE-2017-7863

    libav avait une écriture hors limites causée par un dépassement de tampon basé sur le tas, relatif à la fonction decode_frame_common dans libavcodec/pngdec.c.

  • CVE-2017-7865

    libav avait une écriture hors limites causée par un dépassement tampon basé sur le tas relatif à la fonction ipvideo_decode_block_opcode_0xA dans libavcodec/interplayvideo.c et la fonction avcodec_align_dimensions2 dans libavcodec/utils.c.

  • CVE-2017-14169

    Dans la fonction mxf_read_primer_pack dans libavformat/mxfdec.c, une erreur de signature d’entier pouvait se produire lorsqu’un fichier contrefait, réclamant un champ large item_num tel que 0xffffffff, était fourni. Comme résultat, la variable item_num devenait négative, contournant la vérification pour pour une grande valeur.

  • CVE-2017-14223

    Dans libavformat/asfdec_f.c un déni de service dans asf_build_simple_index() dû à un manque de vérification d’EOF (End of File) pouvait provoquer une énorme consommation de CPU. Quand un fichier ASF contrefait, réclamant un champ ict large dans l’entête mais ne contenant pas de données de sauvegarde suffisantes, était fourni, la boucle for pouvait consommer de larges ressources de CPU et mémoire, puisqu’il n’y avait pas de vérification EOF dans la boucle.

Pour Debian 8 Jessie, ces problèmes ont été corrigés dans la version 6:11.12-1~deb8u5.

Nous vous recommandons de mettre à jour vos paquets libav.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.